Microsoft présentait CVE-2026-65660 comme un spoofing à CVSS 6,5 ; le chercheur Dinh Ho Anh Khoa démontre qu’il s’agit d’une injection de code (CWE-94) aboutissant à une exécution de code à distance authentifiée, et la CISA l’a ajoutée au KEV le 25 septembre 2026 après des attaques observées. Appliquez le correctif du 11 août et auditez vos serveurs SharePoint 2016, 2019 et Subscription Edition.
Le 24 septembre 2026, Cloudflare a révélé qu’un réglage de thin provisioning dans Cloudflare Containers permettait à un client de lire les données qu’un autre client avait laissées sur le même serveur. Les clients n’ont rien à faire, mais la faille rappelle que l’isolation multi-locataire, promise par le cloud, tient parfois à un paramètre par défaut.
Le 23 septembre 2026, Google a publié Gemini CLI 0.61.0, qui impose une confirmation humaine avant que l’agent ne modifie un fichier de build ou n’exécute une commande façonnée par du contenu non fiable. Les développeurs qui utilisent un agent de code doivent mettre à jour et laisser ces confirmations actives : c’est, pour l’instant, la meilleure défense contre l’injection indirecte.
Le 24 septembre 2026, la CISA a inscrit au catalogue KEV la faille de traversal de chemin CVE-2026-5430 chez WSO2 et l’autorisation défaillante CVE-2026-71362 chez Adobe Commerce et Magento, toutes deux exploitées en conditions réelles. Les agences fédérales américaines doivent corriger avant le 27 septembre, et toute organisation qui expose ces produits doit faire de même sans attendre.
Le 24 septembre 2026, GitHub Security Lab a publié un pipeline de fuzzing autonome qui écrit ses harnais, lit sa couverture et rédige ses rapports de vulnérabilité. Le goulot du fuzzing — l’attention humaine — est délégué à un LLM, mais le code s’exécute sans conteneur sur l’hôte.
Le 21 septembre 2026, Jeff Geerling a documenté un verrou de firmware, introduit fin 2024, qui empêche de remplacer les puces RAM d’un Raspberry Pi 5. La mesure vise des revendeurs qui trafiquent des cartes d’entrée de gamme, mais elle supprime aussi le droit de réparer et de faire évoluer son matériel.
La version 4.25.0 de Samba, publiée le 24 septembre 2026, embarque à titre expérimental les poignées persistantes SMB3, brique de base de la bascule transparente. Le gain — des fichiers qui restent ouverts après une panne — se paie d’un surcoût de stockage et d’un partage réservé au seul protocole SMB.
Le 24 septembre 2026, Aikido a révélé que les adresses « Email work item to this project » de GitLab, générées avec un jeton longue durée et publiées par erreur dans des README, laissent un attaquant créer des merge requests ou pousser du code à la place du titulaire. Cherchez ces adresses dans vos dépôts et réinitialisez les jetons exposés.
Le 24 septembre 2026, Manifold Security a révélé que third-party.com, un domaine de documentation utilisé comme exemple depuis des années, a été enregistré par un tiers et sert maintenant un leurre ClickFix aux navigateurs Windows. Auditez vos dépôts et ne laissez plus qu’un domaine non réservé fasse office d’exemple.
Le 25 septembre 2026, BleepingComputer a confirmé que le gang ShinyHunters a compromis le site de fuite du ransomware Clop en exploitant CVE-2026-42608, une traversée de chemin non authentifiée de Grav corrigée en avril mais jamais rétroportée sur la branche 1.7. Si vous tournez encore sous Grav 1.7, passez en 1.7.53.4 sans attendre.
Le 22 septembre 2026, Amazon CloudWatch a lancé Omni, une expérience d’observabilité unifiée pour les applications et les agents IA, livrée dans VS Code, Kiro et une console web autonome. Adoptez-la pour tracer, comparer et évaluer vos agents avant qu’une régression de prompt ne dégrade vos réponses en production.
Le 18 septembre 2026, la communauté self-hosted a identifié le développeur de BookOrbit — une bibliothèque numérique auto-hébergée à 4 600 étoiles — comme celui de Booklore, un projet jumeau disparu après des signalements de qualité de code, de traitement des contributeurs et d’abus de licence. Avant de déployer une application que vous hébergez vous-même, vérifiez la continuité de l’auteur, la licence et l’historique de la communauté.
